Perché i CISO non possono permettersi punti ciechi nelle verifiche sulla governance della posta elettronica

La posta elettronica rimane il principale vettore di attacco per le aziende, e i punti ciechi nei controlli relativi alle piattaforme di posta elettronica e di collaborazione comportano rischi significativi dal punto di vista finanziario, legale e reputazionale. La soluzione richiede una governance progettata ad hoc: visibilità unified, controlli dei rischi legati al fattore umano e conformità giustificabile che copra la posta elettronica, Teams, Slack e Zoom. Le organizzazioni che non riescono a colmare tali lacune si trovano ad affrontare minacce sempre più gravi che gli strumenti di sicurezza tradizionali, da soli, non sono in grado di prevenire.

Perché i punti ciechi nell’audit delle e-mail sono così pericolosi

L’e-mail come vettore di attacco principale

Malware, ransomware e phishing continuano a diffondersi prevalentemente tramite e-mail, con gli autori degli attacchi che evolvono costantemente le proprie tecniche per aggirare anche gli strumenti di sicurezza più sofisticati. Sebbene le organizzazioni investano ingenti risorse in soluzioni per la sicurezza della posta elettronica, l’errore umano continua a rappresentare il punto debole di cui i criminali hanno bisogno. È sufficiente che un single dipendente clicchi su un link dannoso per compromettere un’infrastruttura di sicurezza del valore di milioni di dollari.

I punti ciechi nelle verifiche delle e-mail nascondono i punti critici di fallimento in cui i controlli vengono meno e si concentrano i comportamenti a rischio. Senza una visibilità completa su tali modelli, i team di sicurezza operano alla cieca, incapaci di identificare gli utenti vulnerabili o le debolezze sistemiche fino a quando non si verifica un incidente.

business email compromise (BEC)

Gli account compromessi consentono il movimento laterale all’interno delle reti, la preparazione di attacchi ransomware e l’effettuazione di pagamenti fraudolenti che costano alle organizzazioni in media 125.000 dollari per ogni incidente. La fiducia riposta nei mittenti conosciuti, che rende efficiente la comunicazione via e-mail, rende anche il BEC particolarmente dannoso. I dipendenti abbassano naturalmente la guardia quando i messaggi sembrano provenire da colleghi o partner di fiducia.

Per essere efficaci, gli audit devono verificare i meccanismi di garanzia dell’identità e le capacità di rilevamento delle anomalie nell’intero ecosistema della posta elettronica. Ciò comprende la verifica dell'applicazione del protocollo DMARC, il monitoraggio di modelli di accesso insoliti e l'individuazione di cambiamenti comportamentali che indicano una compromissione dell'account.

Minacce interne (accidentali e dolose)

L’esfiltrazione dei dati, l’uso improprio di informazioni sensibili e l’utilizzo inappropriato della posta elettronica eludono, per loro stessa natura, le difese perimetrali.,Tthe La minaccia proviene dall'interno. Che siano accidentali o intenzionali, gli incidenti causati da personale interno eludono i controlli di sicurezza tradizionali, che si concentrano sulle minacce esterne.

Le soluzioni DLP tradizionali non tengono conto di segnali fondamentali relativi al contesto e alle intenzioni dell'utente. Gli audit dovrebbero valutare i sistemi di monitoraggio dei rischi interni, i protocolli di risposta e la capacità di distinguere tra attività aziendali legittime e potenziali furti di dati. Le organizzazioni devono avere una visione chiara non solo dei dati che vengono trasferiti, ma anche di chi li trasferisce e per quale motivo.

Shadow IT e “shadow email”

Le caselle di posta personali e le applicazioni di terze parti non autorizzate esulano completamente dalle politiche di conservazione dei dati, dai controlli DLP e dai requisiti di conservazione a fini legali. I dipendenti inoltrano abitualmente le e-mail di lavoro ai propri account personali per comodità, creando archivi non controllati di dati sensibili.

I quadri normativi devono individuare e limitare i canali non autorizzati, fornendo al contempo alternative accettabili che soddisfino le esigenze degli utenti. Ciò comprende la gestione degli strumenti di intelligenza artificiale che i dipendenti utilizzano sempre più spesso per svolgere le proprie mansioni lavorative senza comprendere i rischi legati all’esposizione dei dati.

Fughe di dati e vulnerabilità del DLP

I dati sensibili circolano costantemente tramite e-mail e applicazioni di collaborazione, sia che vengano condivisi intenzionalmente sia che vengano divulgati accidentalmente. Le ricerche indicano che un messaggio di collaborazione su 17 contiene dati sensibili, mentre le informazioni di identificazione personale (PII) compaiono nel 37% dei messaggi su tutte le piattaforme.

Le verifiche dovrebbero sottoporre le politiche DLP a test di stress in condizioni reali, esaminando i processi di gestione delle eccezioni e i flussi di lavoro relativi alla mascheratura dei dati. Molte organizzazioni si rendono conto che le loro regole DLP generano un numero talmente elevato di falsi positivi che i team di sicurezza finiscono per ignorare sistematicamente gli avvisi, rendendo così inefficaci i controlli.

Conformità e rischi legali

Il GDPR, l’HIPAA e le normative specifiche di settore impongono rigorosi obblighi in materia di trattamento dei dati, segnalazione delle violazioni e individuazione delle stesse. Il mancato rispetto delle norme comporta sanzioni pecuniarie immediate, ma i costi a lungo termine, i contenziosi, il controllo da parte delle autorità di regolamentazione e il danno reputazionale spesso superano le multe iniziali.

Le verifiche inadeguate non individuano le lacune in materia di conformità finché non vengono alla luce ad opera delle autorità di vigilanza o dei legali. Le organizzazioni devono verificare in modo proattivo il proprio stato di conformità prima che soggetti esterni impongano la questione tramite audit o richieste di produzione di documenti a fini legali.

L'ampliamento della superficie di attacco e la mancanza di visibilità

Piattaforme di collaborazione (Teams, Slack, Zoom)

La comunicazione aziendale moderna va ben oltre la posta elettronica, eppure la maggior parte dei programmi di sicurezza considera le piattaforme di collaborazione come un aspetto secondario. I controlli nativi di queste piattaforme offrono una protezione minima, in quanto privi delle sofisticate funzionalità di rilevamento delle minacce e di conformità che la sicurezza della posta elettronica ha sviluppato nel corso di decenni.

Gli audit devono verificare che le politiche di acquisizione, classificazione e conservazione garantiscano la parità su tutti i canali di comunicazione. Un messaggio contenente dati dei clienti richiede lo stesso livello di protezione sia che venga inviato tramite e-mail sia che venga condiviso in un canale di Teams.

Shadow IT e strumenti di intelligenza artificiale non autorizzati

I dipendenti divulgano dati a applicazioni non verificate e piattaforme di intelligenza artificiale generativa (GenAI) a un ritmo allarmante. I responsabili della sicurezza esprimono una giustificata preoccupazione riguardo alla divulgazione involontaria di informazioni, poiché il personale incolla dati riservati in ChatGPT o carica documenti sensibili su servizi cloud non autorizzati.

La governance dovrebbe imporre l’utilizzo di alternative autorizzate, attuando al contempo controlli tecnici che impediscano l’esfiltrazione dei dati verso servizi non approvati. Ciò comprende il monitoraggio di modelli sospetti di trasferimento dei dati e il blocco dei caricamenti verso destinazioni note per essere a rischio.

Soluzioni puntuali frammentate

Gli strumenti di sicurezza non integrati tra loro generano silos di dati e una "stanchezza da avvisi" che lasciano punti ciechi vulnerabili agli attacchi. Quando la sicurezza della posta elettronica, il monitoraggio della collaborazione e il DLP operano in modo indipendente, gli autori degli attacchi sfruttano le lacune esistenti tra i sistemi.

Il costo medio di una fuga di dati causata da personale interno ammonta a 15 milioni di dollari. Il consolidamento riduce sia il rischio che la complessità operativa, garantendo una visibilità unified e un’applicazione coerente delle politiche su tutti i canali di comunicazione.

L'elevato costo delle violazioni delle norme di conformità e delle verifiche

Regolamenti in evoluzione

I continui cambiamenti normativi aumentano il rischio di interpretazioni errate, con due terzi dei professionisti che non si sentono sicuri riguardo alla propria posizione in materia di conformità. I nuovi requisiti emergono più rapidamente di quanto le organizzazioni riescano ad adeguare i propri processi e controlli.

Le verifiche dovrebbero valutare la frequenza degli aggiornamenti, l’accuratezza della mappatura delle politiche e la completezza della copertura delle prove. Le organizzazioni necessitano di strutture che si adattino automaticamente alle modifiche normative, anziché richiedere aggiornamenti manuali delle politiche.

Individuazione dei dati e preparazione in ambito legale

I flussi di lavoro relativi ad audit, indagini e contenziosi incontrano difficoltà quando le prove sono distribuite in sistemi isolati tra loro o rimangono modificabili dopo la loro creazione. I team legali perdono tempo prezioso a cercare comunicazioni rilevanti su diverse piattaforme.

Le organizzazioni devono verificare la completezza della registrazione, l'immutabilità dell'archivio, i controlli di accesso basati sui ruoli, la documentazione relativa a chains of custody e le funzionalità di ricerca rapida. Tali capacità determinano la capacità delle organizzazioni di rispondere in modo efficace alle richieste di produzione di documenti ai fini legali o alle indagini delle autorità di regolamentazione.

DMARC, PCI DSS e requisiti assicurativi

Lo standard PCI DSS 4.0 richiede l'implementazione del protocollo DMARC per prevenire l'usurpazione dell'identità del marchio; l'applicazione di tale requisito è entrata in vigore a marzo 2025. Le compagnie assicurative specializzate in rischi informatici impongono sempre più spesso l’implementazione del protocollo DMARC come condizione per la copertura assicurativa, riconoscendone l’efficacia nella prevenzione degli attacchi via e-mail.

Gli audit dovrebbero verificare la configurazione della politica DMARC, le impostazioni relative alla modalità di applicazione e i meccanismi di segnalazione. Molte organizzazioni implementano il DMARC in modalità di monitoraggio, ma non passano mai alla fase di applicazione, lasciando così il campo libero agli attacchi di spoofing dei domini.

Il fattore umano: la vostra variabile più importante

Concentrazione sproporzionata del rischio

Le ricerche dimostrano costantemente che circa l’8% degli utenti è responsabile dell’80% degli incidenti di sicurezza. Questi soggetti ad alto rischio necessitano di controlli e interventi mirati, piuttosto che di una formazione generica a livello aziendale.

Comportamenti rischiosi ma scelti consapevolmente

Oltre il 90% degli utenti che compiono azioni non sicure è consapevole del rischio, ma procede comunque. Danno la priorità alla comodità o alla produttività rispetto alla sicurezza, convinti che le conseguenze negative non li riguardino personalmente. I suggerimenti tempestivi che compaiono nel momento in cui si presenta un rischio possono orientare tali decisioni verso scelte più sicure.

Impatto delle violazioni e costi legati alle informazioni privilegiate

Quasi il 60% delle violazioni è dovuto a errori umani o ad azioni compiute da personale interno. I costi medi derivanti da un incidente causato da personale interno raggiungono i 15 milioni di dollari, se si considerano le spese relative alle indagini, alle misure correttive, alle spese legali e alle interruzioni dell’attività aziendale. Le verifiche devono valutare le metodologie di valutazione del rischio umano, l’efficacia delle politiche adattive e l’impatto dei programmi di coaching.

I punti in cui gli audit sulla governance della posta elettronica spesso falliscono

• Lacune nell’ambito di applicazione: le organizzazioni effettuano controlli meticolosi sulla posta elettronica, ma trascurano Teams, Slack, Zoom e le caselle di posta personali, creando enormi lacune nelle prove. Le politiche non presentano coerenza tra i vari canali, con periodi di conservazione, regole DLP e procedure di conservazione a fini legali diversi per ciascuna piattaforma.
• Integrità delle prove: in assenza diarchivi immutabili e a prova di manomissione e di una registrazione completa in un registro, le organizzazioni non sono in grado di dimostrare l’autenticità dei dati. Una documentazione insufficiente relativa alla chain-of-custody compromette la difendibilità giuridica, rendendo potenzialmente le prove inammissibili.
• Controlli relativi all’identità e al BEC: SPF, DKIM e DMARC continuano a essere configurati in modo errato o non vengono applicati in molte organizzazioni. Il rilevamento limitato delle anomalie relative ai modelli di accesso, alle incongruenze geografiche o ai cambiamenti nel comportamento dei fornitori consente agli account compromessi di operare senza essere individuati.
• Deriva delle politiche e eccezioni: l’eccessivo ricorsoalle eccezioni manuali, i dizionari DLP non aggiornati e l’assenza di processi di attestazione determinano una deriva delle politiche. In assenza di revisioni periodiche, le politiche di sicurezza finiscono per allontanarsi sempre più dalle effettive operazioni aziendali e dal panorama delle minacce.

Governance della posta elettronica conforme ai requisiti di revisione contabile

Visibilità unified

Centralizzare l'acquisizione e la conservazione dei dati relativi alla posta elettronica e alla collaborazione utilizzando standard di metadati uniformi. Questo approccio unified elimina i punti ciechi di cui approfittano gli aggressori e garantisce una copertura completa dell'audit.

Normalizzare le etichette di classificazione e di sensibilità su tutti i canali per garantire una protezione uniforme indipendentemente dal metodo di comunicazione.

Conservazione giustificabile e blocco legale dei dati

Allineare le politiche di conservazione dei dati direttamente ai requisiti normativi e agli obblighi contrattuali. Implementare archivi immutabili che impediscano la manomissione e consentano un’e-discovery rapida e precisa quando necessario.

Autenticazione forte e affidabilità del mittente

Applicare il protocollo DMARC a livello di quarantena o di rifiuto, implementare protocolli di monitoraggio rigorosi e verificare l’autenticità delle e-mail dei partner e dei fornitori. Tali controlli impediscono lo spoofing dei domini e riducono il numero di attacchi di phishing che vanno a buon fine.

Misure di controllo dei rischi legati al fattore umano

Implementate i punteggi di rischio degli utenti che guidano il DLP adattivo, la protezione dei collegamenti, il sandboxing degli allegati e la formazione “just-in-time”. Concentrare gli interventi intensivi sugli utenti ad alto rischio, semplificando al contempo le misure di sicurezza per i dipendenti a basso rischio.

Come eliminare i punti ciechi con una strategia unified

Ottenete una visibilità completa

Raccogliete, elaborate e conservate i dati provenienti da e-mail, Teams, Slack e altre piattaforme all’interno di un unico sistema unified. Individuare la condivisione non autorizzata e le violazioni delle politiche quasi in tempo reale su tutti i canali di comunicazione.

Automatizzare e adattare i controlli

Regolare i livelli di protezione in base ai profili di rischio degli utenti. Si raccomanda di applicare misure di incentivazione e controlli più rigorosi per gli utenti ad alto rischio, evitando al contempo ripercussioni sulla produttività dei dipendenti che rispettano le regole. Organizzate automaticamente la quarantena, la crittografia e l’occultamento dei dati senza creare colli di bottiglia dovuti a interventi manuali.

Sfruttare l’intelligenza artificiale e l’analisi avanzata dei dati

Utilizzate l’intelligenza artificiale per individuare tentativi di attacchi BEC, modelli di comunicazione anomali e comportamenti di soggetti interni che potrebbero sfuggire agli analisti umani. I modelli di apprendimento automatico addestrati su trilioni di e-mail sono in grado di distinguere i messaggi legittimi dalle minacce sofisticate.

Conclusione: Dai punti ciechi a una governance sicura

I rischi legati alla posta elettronica e alla collaborazione derivano essenzialmente da lacune nella visibilità e da problemi legati al comportamento umano. Una governance efficace deve estendersi a tutti i canali, le identità e i contesti per garantire una protezione completa. Un approccio unified e pronto per le verifiche riduce la probabilità di violazioni, limita i rischi legati al personale interno, accelera le indagini e rafforza sia la conformità normativa che la fiducia degli stakeholder.

In che modo Mimecast sostiene questa strategia

Mimecast garantisce visibilità e conservazione unified su tutte le piattaforme di posta elettronica e di collaborazione, colmando le lacune in materia di governance e accelerando al contempo i processi di e-discovery. La nostra funzionalità gestione di Human Risk assegna un punteggio dinamico agli utenti e adatta i controlli, che vanno da lievi sollecitazioni a misure rigorose di prevenzione delle perdite di dati (DLP), in base ai profili di rischio individuali.

Funzionalità avanzate di rilevamento consentono di individuare i tentativi di attacchi BEC e i casi di usurpazione del marchio, compresa la gestione completa delle politiche DMARC e la generazione di report. L'archiviazione immutabile, la registrazione completa in un registro e la chains of custody documentata forniscono prove di audit difendibili in grado di reggere al vaglio delle autorità di regolamentazione.

La nostra intelligenza artificiale, addestrata su trilioni di e-mail, distingue le comunicazioni legittime dalle minacce, riducendo al contempo il carico di lavoro per i team di sicurezza. Questo approccio globale trasforma la governance della posta elettronica da un onere di conformità a un vantaggio strategico che tutela le risorse più critiche della vostra organizzazione.